Sicherheit · 27. Oktober 2026
Auch veröffentlicht auf हिन्दी, Español, Italiano, Nederlands, Svenska
Kritische PHP-Schwachstelle CVE-2026-115560 ohne vorläufiges Sicherheitsupdate
Ein neues Sicherheitsleck in der Programmiersprache PHP wurde identifiziert, das unter der Kennung CVE-2026-115560 geführt wird. Die Schwachstelle birgt das Risiko einer Fernausführung von Code und betrifft Webanwendungen mit spezifischen Sitzungseinstellungen. Ein offizielles Sicherheitsupdate steht derzeit noch nicht zur Verfügung.
Das PHP-Team veröffentlichte am 23. Oktober 2026 eine offizielle Ankündigung, die das Problem in der Mechanismus zur Verfolgung des Fortschritts bei Dateiuploads beschreibt. Die Ausnutzung der Lücke erfordert eine ungewöhnliche Konfiguration der Anwendung. Daher plant das Entwicklungsteam, den Fehler in der nächsten regulären Fehlerbehebungsversion zu beheben, anstatt ein dringendes Sicherheitsupdate herauszugeben. Diese neue Schwachstelle ist vollständig von den zwei kritischen Problemen getrennt, die am 21. Oktober unter dem Namen PHP2Shell bekannt wurden.
Die zuvor gemeldeten Lücken mit den Kennungen CVE-2026-109618 und CVE-2026-109619 ermöglichten die Fernausführung von Code ohne Authentifizierung. Um diese Probleme zu beheben, wurden die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 schnell veröffentlicht. Diese Updates schließen jedoch die neu entdeckte Schwachstelle CVE-2026-115560 nicht ab. Für die Ausnutzung der neuen Lücke müssen mehrere Bedingungen gleichzeitig erfüllt sein, darunter die Einstellung der Sitzungsserialisierung auf bestimmte Werte und deren Änderung während der Laufzeit vor dem Start der Sitzung.
Zusätzlich muss die Funktion zur Verfolgung des Upload-Fortschritts aktiviert sein, was standardmäßig der Fall ist. Entwickler haben erklärt, dass Systeme, die die Serialisierungsmethode nicht zur Laufzeit ändern, nicht von diesem Angriffsweg betroffen sind. Aufgrund der Seltenheit dieser Konfigurationskombination wird kein außerordentliches Update veröffentlicht. Als vorübergehende Maßnahme wird empfohlen, die Einstellung session.upload_progress.enabled auf null zu setzen, um die Funktion vollständig zu deaktivieren.
Cloudflare teilte am 23. Oktober mit, dass die aktuellen Regeln des Web-Application-Firewalls bekannte Angriffsversuche gegen die neue Schwachstelle blockieren. Diese Schutzmaßnahme gilt für Anwendungen, die den Standardnamen für das Dateiupload-Fortschrittsfeld verwenden. Es wurden Versuche festgestellt, über die früheren Lücken die Schadsoftware Potassium aus der Mirai-Botnet-Familie zu installieren. Es gibt jedoch keine bestätigten Beweise für eine erfolgreiche Fernausführung von Code über diese Lücken. Auch für die neue Schwachstelle liegt derzeit kein Bericht über aktive Angriffe vor.